En ansatt mister telefonen som brukes til innlogging. Passordet virker fortsatt, men godkjenningen i autentiseringsappen er borte. For en vanlig brukerkonto er dette ofte håndterbart. Hvis den samme telefonen også er eneste vei inn til bedriftens administratorkonto, blir situasjonen mer alvorlig. Løsningen er å planlegge en reservevei før telefonen forsvinner.
Før telefonen byttes eller mistes
- Finn kontoene som er avhengige av telefonen. Start med jobbens e-post, identitetsplattform og administrative kontoer. Noter hvem som eier hver konto og hvem som kan hjelpe ved låsing. Ikke skriv passord eller engangskoder i oversikten.
- Registrer en reserve-metode der tjenesten støtter det. For Microsoft Entra anbefaler Microsoft mer enn én registrert MFA-metode for brukere, slik at én mistet metode ikke stanser innloggingen. Velg sterke metoder som er tillatt av bedriftens policy, og test at reserveveien fungerer. Ikke anta at alle tjenester tilbyr de samme gjenopprettingskodene.
- Skill vanlig brukerhjelp fra nødtilgang for administratorer. En administrator som kan hjelpe ansatte, må selv ha en fungerende reservevei. I Microsoft Entra anbefaler Microsoft minst to særskilte nødtilgangskontoer, beskyttet med phishing-resistente metoder, separat lagring, overvåking og regelmessig kontroll. Slike kontoer er for nødsituasjoner, ikke daglig arbeid.
- Avtal identitetskontroll. Den som behandler en forespørsel om ny innloggingsmetode, må kontrollere at det faktisk er riktig ansatt som ber om hjelp. En e-post eller telefonhenvendelse alene bør ikke automatisk gi tilgang til kontoen.
Når telefonen er borte
Gi beskjed til den som administrerer kontoene så snart som mulig. Er telefonen stjålet, eller er det tegn til uventede innlogginger, må hendelsen også vurderes som mulig kontokompromittering. Ikke godkjenn innloggingsvarsler du ikke selv har startet, og ikke oppgi koder til noen som ringer eller sender melding.
Har brukeren en registrert reserve-metode, brukes den til å logge inn og legge til den nye enheten. Deretter fjernes den tapte metoden etter kontroll. I Microsoft Entra kan en autorisert administrator, når bedriftens policy tillater det, bruke en tidsbegrenset Temporary Access Pass for å la brukeren registrere en ny sterk metode. Dette er en kontrollert gjenopprettingsprosess, ikke en grunn til å slå av MFA for alle. Kontroller nye metoder og relevante innloggingshendelser etterpå.
Hvis den eneste administratoren er låst ute, bruk virksomhetens dokumenterte nødtilgang eller leverandørens offisielle gjenopprettingskanal. Ikke opprett en delt «midlertidig» administratorkonto for å komme raskere videre. Se også hvorfor personlige kontoer er bedre enn felles brukerkontoer og hvordan en liten bedrift kan planlegge for IT-avbrudd.
En enkel test før neste telefonbytte
Be den ansatte vise at en alternativ innloggingsmetode er registrert og fungerer før den gamle telefonen nullstilles. Kontroller deretter at riktig administrator kan hjelpe hvis begge brukerens metoder svikter. Dokumenter hvem som utførte testen og når, men aldri selve hemmelighetene. Dette er en liten prøve som avdekker om reserveplanen faktisk kan brukes.
Kilder
Microsoft Learn: Deployment considerations for MFA, Microsoft Learn: Temporary Access Pass og Microsoft Learn: Emergency access accounts.
